CVE-2020-26962

Опубликовано: 09 дек. 2020

Источник: nvd

CVSS3: 6.1

CVSS2: 4.3

EPSS Низкий

Уязвимость использования службы автозаполнения логина в кросс-доменных iframes для атак clickjacking в Mozilla Firefox

Описание

Кросс-доменные iframes, содержащие форму для входа, распознаются службой автозаполнения логина и могут заполняться автоматически. Это используется в атаках clickjacking, а также для чтения данных через разделы в условиях динамической изоляции первой стороны.

Затронутые версии ПО

Mozilla Firefox версии до 83

Тип уязвимости

Clickjacking
Нарушение изоляции данных между разделами

Ссылки

https://bugzilla.mozilla.org/show_bug.cgi?id=610997
Issue Tracking
Permissions Required
Vendor Advisory
https://www.mozilla.org/security/advisories/mfsa2020-50/
Vendor Advisory
https://bugzilla.mozilla.org/show_bug.cgi?id=610997
Issue Tracking
Permissions Required
Vendor Advisory
https://www.mozilla.org/security/advisories/mfsa2020-50/
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*

Версия до 83.0 (исключая)

EPSS

Процентиль: 44%

0.00219

Низкий

6.1 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-1021

Связанные уязвимости

CVE-2020-26962

CVSS3: 6.1

ubuntu

около 5 лет назад

Cross-origin iframes that contained a login form could have been recognized by the login autofill service, and populated. This could have been used in clickjacking attacks, as well as be read across partitions in dynamic first party isolation. This vulnerability affects Firefox < 83.

CVE-2020-26962

CVSS3: 6.1

debian

около 5 лет назад

Cross-origin iframes that contained a login form could have been recog ...

GHSA-2wfq-mq88-h9xc

github

больше 3 лет назад

EPSS

Процентиль: 44%

0.00219

Низкий

6.1 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-1021